חוקי בינה מלאכותית לעסקים ומה חייבים להסדיר

קובץ לקוחות הועלה לכלי AI חינמי כדי לנסח הצעת מחיר מהר יותר. מנהלת משאבי אנוש ביקשה מהמערכת לסכם ראיונות עבודה. צוות שיווק יצר תמונות לקמפיין, בלי לברר מה מקורן ומי מחזיק בזכויות. כל אלה אירועים שגרתיים. ובכל אחד מהם, חוקי בינה מלאכותית לעסקים רלוונטיים להחלטות תפעוליות יומיומיות, שעלולות להפוך לחשיפה משפטית מורכבת.

הטעות הנפוצה היא לחכות לחוק ישראלי אחד, ברור ומלא, שיגיד בדיוק מה מותר ומה אסור. בעלי עסקים ומנהלים בחברות לא מודעים לכך שבפועל, העסק כבר כפוף לדיני פרטיות, סודיות מסחרית, זכויות יוצרים, דיני עבודה, הגנת הצרכן וחובות חוזיות. כלי ה-AI לא מבטל את החובות האלה. הוא רק מגדיל את המהירות שבה אפשר להפר אותן.

לכן, עסק שלא הגדיר כללי שימוש ב-AI, לא באמת מנהל חדשנות, אלא מעביר את ניהול הסיכון לעובדים, לספקים ולמזל.

חוקי בינה מלאכותית לעסקים מתחילים בבדיקת המידע שנעשה בו שימוש

השאלה הראשונה אינה איזה כלי בינה מלאכותית לבחור. השאלה היא איזה מידע נכנס אליו, לאן הוא עובר, מה רשאים לעשות בו וכמה שליטה נשארת לארגון.

כאשר מישהו בארגון מזין למערכת חיצונית שמות, מספרי טלפון, פרטי הזמנות, נתוני עובדים, מידע רפואי או תיעוד שירות, ייתכן שמדובר בעיבוד מידע אישי. גם אם אותו גורם בארגון פעל מתוך רצון לחסוך זמן, העסק הוא זה שעלול להידרש להסביר את השימוש, את הבסיס החוקי ואת מנגנוני ההגנה שנבחרו.

בישראל אין כיום חוק AI אחד שמסדיר את מכלול השימושים העסקיים. אבל חוק הגנת הפרטיות, חובות אבטחת מידע והנחיות רגולטוריות רלוונטיות ממשיכים לחול.
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים משמעותיים. ביולי 2026 הוטל העיצום הראשון מכוח התיקון: 256 אלף שקל על קופת חולים, בשל אי-דיווח מיידי על אירוע אבטחת מידע חמור. עסק שמזין מידע אישי לכלי AI בלי בדיקה, כפוף בדיוק להוראות האלו.

עסק שפונה ללקוחות באירופה, מעבד מידע של תושבי האיחוד האירופי או מספק להם מוצר, עשוי להידרש גם לבחון את תחולת הרגולציה האירופית, לרבות ה-AI Act וה-GDPR. התחולה תלויה בפעילות הממשית, לא במדינה שבה רשומה החברה.

לכן, לפני הטמעה, צריך למפות את סוגי המידע. אפשר לעיתים להשתמש בכלי ציבורי לצורך ניסוח טיוטה על בסיס מידע כללי. אין להכניס אליו חומר שמזהה לקוחות, מידע פיננסי, סודות מסחריים או נתוני כוח אדם, אלא אם נבדקו תנאי הספק, הגדרות החשבון וההרשאות הרלוונטיות.

לא כל חשבון ארגוני נותן אותה הגנה

מנהלים נוטים להניח שחשבון בתשלום פותר את הבעיה. לפעמים הוא מקטין את הסיכון, אבל לא בהכרח פותר. יש לבדוק אם הספק משתמש במידע לאימון מודלים, היכן נשמר המידע, מי מקבל גישה אליו, מהי תקופת השמירה, מה קורה בעת סיום ההתקשרות ואילו התחייבויות אבטחה קיימות.

צריך לבחון גם את שרשרת הספקים. כלי AI עשוי להיעזר במעבדי משנה, בשירותי ענן ובממשקי צד שלישי. מבחינת ניהול סיכונים, אין משמעות רק למה שהכלי מבטיח בדף המכירה. המשמעות היא למה שהחוזה מחייב בפועל.

חוזה עם ספק AI הוא כלי ניהול, לא מסמך מדף

כאשר כלי AI נכנס לתהליך מהותי, למשל גיוס עובדים, דירוג לידים, שירות לקוחות, אבחון, תמחור או ניתוח מסמכים, תנאי השימוש הסטנדרטיים של הספק אינם תמיד מתאימים לעסק. הם נכתבו כדי להגן על הספק עצמו, ולא כדי להגן על העסק.

בחוזה מתאים יש להסדיר את מטרות העיבוד, האחריות על המידע, איסור או הגבלה על שימוש במידע לאימון, סודיות, אבטחת מידע, דיווח על אירוע אבטחה, מחיקת מידע, זכויות ביקורת והקצאת אחריות במקרה של טענה או נזק. במקרים מסוימים נדרש גם הסכם עיבוד מידע מפורש.

יש חשיבות מיוחדת לזכויות בתוצרים. ספק עשוי להעניק רישיון רחב לשימוש בפלט, אבל לא להתחייב שהוא מקורי, מדויק או פנוי מתביעות של צד שלישי. אם העסק בונה על תוצר AI בקמפיין, בקוד, במסמך מקצועי או בתוכן ללקוחות, עליו להבין מה הוא מקבל ומה אינו מקבל.

זו נקודה שבה ראייה עסקית משנה את הדיון. לא כל כלי מצדיק משא ומתן מורכב. לעומת זאת, כלי שנוגע בליבת הפעילות, במאגר לקוחות או בהחלטות בעלות השפעה על עובדים, מצדיק בדיקה משפטית ומסחרית לפני ההטמעה. העלות של עצירה מוקדמת נמוכה בדרך כלל מעלות של אירוע משפטי בתחום פרטיות, משבר מול לקוח או החלפת מערכת תחת לחץ.

החלטת AI על מועמד או לקוח דורשת בקרה אנושית

מערכת שמסננת קורות חיים, מדרגת לקוחות או ממליצה על תנאי עסקה עלולה ליצור הטיה, טעות או אפליה. גם אם העסק לא התכוון לכך, האחריות אינה נעלמת מאחורי המילים "כך האלגוריתם החליט".

בדיני עבודה, למשל, שימוש בכלי לניתוח מועמדים מחייב זהירות מיוחדת. יש לבחון אילו נתונים מוזנים, אילו קריטריונים משפיעים על ההמלצה, האם קיימת אפשרות לתיקון שגיאה ומי מקבלת את ההחלטה הסופית. כלי יכול לסייע למנהל או לעובד. הוא לא צריך להפוך למנהל שמקבל את ההחלטה.

הכלל הנכון הוא להבחין בין שימוש מסייע לבין החלטה אוטומטית. כאשר ההחלטה משפיעה באופן מהותי על אדם, יש לקבוע גורם אנושי בעל סמכות, יכולת להבין את הנתונים ואחריות לעצור החלטה שגויה. אין טעם להוסיף אישור אנושי טכני אם אותו גורם רק לוחץ על כפתור בלי יכולת אמיתית לבחון את התוצאה.

מדיניות AI טובה מתורגמת להתנהגות יומיומית

מסמך של עשרים עמודים שאיש לא קורא אינו מדיניות. הוא תיקייה במקרה הטוב וארכיון במקרה הפחות טוב. מדיניות שימוש אפקטיבית צריכה לתת לעובד הנחיות ברורות ברגע האמת: מה מותר להזין, באילו כלים מותר להשתמש, מתי נדרש אישור, מי בודק תוצר וכיצד לדווח על תקלה.

במקום לנסח איסור כללי על שימוש בבינה מלאכותית, עדיף לקבוע רמות שימוש. אפשר לאשר שימוש בתוכן כללי ובמשימות יצירתיות בסיכון נמוך. אפשר לחייב אישור לשימוש במידע פנימי שאינו אישי. מידע אישי, סודות מסחריים, טיוטות הסכמים, נתוני עובדים ותיעוד רגיש צריכים להיות מחוץ לתחום, או מותרים רק בכלים ובמסלולים שאושרו מראש.

מדיניות טובה מסדירה גם את חובת הבדיקה. פלט של AI יכול להישמע משכנע ועדיין להיות שגוי, מומצא, מוטה או מפר זכויות. מנהל או כל גורם בארגון שבאחריותו להגיש הצעת מחיר, חוות דעת, תוכן שיווקי או מענה ללקוח נושא באחריות מקצועית לבדוק אותו לפני שליחה. AI הוא טיוטה. הוא אינו מקור סמכות.

כדאי לעגן את הכללים גם בהסכמי העסקה, בנספחי סודיות, בנהלי אבטחת מידע ובהדרכות. אחרת, הארגון עלול לגלות שהמדיניות שלו עומדת בסתירה לתמריצים שהוא עצמו יצר: דרישה למהירות, יעדי תפוקה ואפס הנחיות על הדרך המותרת להשיג אותם.

קניין רוחני: תוצר מרשים אינו בהכרח נכס של העסק

תמונה שנוצרה ב-AI, קטע קוד, מצגת או טקסט שיווקי יכולים להיראות מוכנים לפרסום. אבל לפני שימוש מסחרי צריך לברר שתי שאלות: האם העסק רשאי להשתמש בתוצר, והאם הוא יכול למנוע מאחרים להשתמש בו.

התשובות משתנות לפי סוג הכלי, תנאיו, אופן יצירת התוצר והתרומה האנושית שהושקעה בו. קיימת גם אפשרות שהתוצר יהיה דומה ליצירה קיימת, או שיכלול טענה עובדתית שלא נבדקה. בפרסום ללקוח, בקמפיין רחב או במוצר מסחרי, בדיקה אנושית אינה שלב מיותר. היא שכבת הגנה על המוניטין.

גם עובדים וספקי תוכן צריכים לדעת למי שייכים חומרי הגלם, הפרומפטים, התוצרים והגרסאות שעברו עריכה. ככל שהדבר מוסדר מראש, כך קטן הסיכוי למחלוקת כאשר מסתיימת העסקת העובד שיצר את אותו התוכן, ספק מתחלף או עסק מבקש למכור נכס דיגיטלי.

כך בונים תוכנית פעולה בלי לעצור את העסק

הדרך הנכונה אינה להקפיא כל שימוש ב-AI עד שתהיה ודאות מוחלטת. ודאות כזו כמעט אף פעם אינה קיימת. המטרה היא לאפשר שימוש מועיל, תוך בחירה מודעת של הסיכונים שהעסק מוכן לקבל.

התחילו במיפוי קצר של הכלים שכבר נמצאים בשימוש. כמעט תמיד מתגלים כלים שהוכנסו על ידי מחלקות שונות ללא אישור מנהלי. לאחר מכן, דרגו את השימושים לפי רגישות המידע, השפעה על אנשים, חשיבות עסקית והיקף ההסתמכות על הפלט.

בשלב הבא מנסחים מדיניות קצרה וברורה, בוחנים את הסכמי הספקים המרכזיים, מגדירים בעלי תפקיד אחראים ומקיימים הדרכה ממוקדת. לבסוף, קובעים מנגנון בדיקה תקופתי. הטכנולוגיה, תנאי הספקים והרגולציה משתנים, ולכן מדיניות שנכתבה פעם אחת ונשכחה אינה מגינה על הארגון.

מניסיוני הניהולי, נהלים עובדים רק כאשר הם מאפשרים לאנשים לעשות את העבודה נכון גם ביום עמוס. לכן, אם הכללים מסובכים מדי, יש סיכוי ״לחפף״. אם הם ברורים, מעשיים ומחוברים לתהליך העבודה, הם הופכים לחלק מניהול תקין.

אני מלווה עסקים בבניית מדיניות AI, בבחינת חוזים מול ספקים ובהתאמת הסכמי עבודה ונהלי פרטיות למציאות התפעולית היומיומית הספציפית לכל עסק או חברה.
פגישת ייעוץ ממוקדת יכולה להפוך שימוש לא מבוקר בכלי AI לתוכנית עבודה שמקדמת צמיחה, שומרת על מידע ומונעת את המחלוקת הבאה לפני שהיא מתחילה.

צרו איתי קשר לייעוץ ראשוני

גלו כיצד המומחיות והניסיון שלי יכולים לשרת את האינטרסים שלכם בצורה מיטבית

דילוג לתוכן